Formulaire de contact 7 a patché une vulnérabilité critique de téléchargement de fichiers dans la version 5.3.2, publiée aujourd’hui par l’auteur du plugin Takayuki Miyoshi. Le plugin est installé sur plus de cinq millions de sites WordPress.
«Une vulnérabilité de téléchargement de fichiers sans restriction a été trouvée dans le formulaire de contact 7 5.3.1 et les versions antérieures», a déclaré Miyoshi. «En utilisant cette vulnérabilité, un émetteur de formulaire peut contourner le nettoyage du nom de fichier de Contact Form 7 et télécharger un fichier qui peut être exécuté en tant que fichier de script sur le serveur hôte.»
La vulnérabilité a été découverte par Jinson Varghese Behanan de Astra Security le 16 décembre 2020, et Miyoshi a publié un correctif moins de 24 heures plus tard. Behanan a mis en évidence plusieurs façons dont cette vulnérabilité pourrait être exploitée:
- Possibilité de télécharger un shell web et d’injecter des scripts malveillants
- Prise de contrôle complète du site Web et du serveur s’il n’y a pas de conteneurisation entre les sites Web sur le même serveur
- Défigurer le site Web
Astra Security prévoit de publier plus de détails sur la vulnérabilité dans deux semaines après que la base d’utilisateurs du plugin aura eu plus de temps pour mettre à jour la version corrigée.
La version 5.3.2 supprime le contrôle, le séparateur et d’autres types de caractères spéciaux du nom de fichier pour corriger la vulnérabilité de téléchargement de fichiers sans restriction. Au moment de la publication, plus d’un million de mises à jour du formulaire de contact 7 ont été téléchargées aujourd’hui. Environ 20% de la base d’utilisateurs du plugin sont protégés contre la vulnérabilité. Maintenant qu’il a été corrigé et publié, les utilisateurs de Contact Form 7 qui ne mettent pas à jour risquent davantage de voir la vulnérabilité exploitée.
Source link